{"id":209188,"date":"2026-10-20T12:00:14","date_gmt":"2026-10-20T12:00:14","guid":{"rendered":"http:\/\/cordobadirecto.com\/index.php\/2026\/10\/20\/alerta-de-seguridad-en-plex-cuatro-fallos-permiten-ejecutar-codigo-remoto-sin-autenticacion\/"},"modified":"2026-10-20T12:00:14","modified_gmt":"2026-10-20T12:00:14","slug":"alerta-de-seguridad-en-plex-cuatro-fallos-permiten-ejecutar-codigo-remoto-sin-autenticacion","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/10\/20\/alerta-de-seguridad-en-plex-cuatro-fallos-permiten-ejecutar-codigo-remoto-sin-autenticacion\/","title":{"rendered":"Alerta de seguridad en Plex: cuatro fallos permiten ejecutar c\u00f3digo remoto sin autenticaci\u00f3n"},"content":{"rendered":"<div>\n<img decoding=\"async\" loading=\"lazy\" width=\"1600\" height=\"900\" src=\"https:\/\/www.redeszone.net\/app\/uploads-redeszone.net\/2026\/10\/logo-plex-media-server.jpg\"><\/p>\n<p>Una cadena de vulnerabilidades en <strong>Plex Media Server<\/strong> permite a los atacantes instalar mineros de criptomonedas y software malicioso para crear una puerta trasera y acceder a los equipos. En total son cuatro fallos de seguridad y el investigador detr\u00e1s de este descubrimiento, que se hace llamar boredhackerblog, ha denominado a este problema como <strong>\u201cPlex2Shell\u201d<\/strong>, como puedes ver en la <a href=\"https:\/\/www.boredhackerblog.info\/2026\/10\/plex-vulnerabilities-being-exploited-in.html\" target=\"_blank\" rel=\"noopener noreferrer\">publicaci\u00f3n de su blog oficial con fecha de 17 de octubre<\/a>. <\/p>\n<h2>Fallos de seguridad en Plex<\/h2>\n<p>Estos fallos de seguridad han recibido una puntuaci\u00f3n de peligrosidad distinta, pero todos ellos, combinados, forman parte de este problema que puede comprometer los servidores Plex. Concretamente, las vulnerabilidades son las siguientes:<\/p>\n<ul>\n<li>\n<a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-96652\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2026-96652<\/a>: esta vulnerabilidad ha recibido una puntuaci\u00f3n de <strong>5.3 en la escala CVSS<\/strong>. Se trata de un fallo de falsificaci\u00f3n de peticiones del lado del servidor (SSRF) sin autenticaci\u00f3n, que se origina a trav\u00e9s del endpoint \/player\/timeline. El problema ocurre porque el par\u00e1metro protocol se inserta en una URL de reproductor generada mediante programaci\u00f3n sin ninguna validaci\u00f3n, lo que permite a un atacante obligar al servidor Plex a realizar una petici\u00f3n POST hacia un destino de su elecci\u00f3n.<\/li>\n<li>\n<a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-96654\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2026-96654<\/a>: el segundo fallo ha recibido una puntuaci\u00f3n de <strong>6.9 en la escala CVSS<\/strong>. Se trata de una neutralizaci\u00f3n inadecuada de valores de URL en el endpoint searchOne, que podr\u00eda permitir a un atacante invocar funciones de otros complementos y proporcionar sus propios par\u00e1metros para obtener el token de administrador del propietario.<\/li>\n<li>\n<a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-96655\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2026-96655<\/a>: el siguiente fallo ha obtenido una puntuaci\u00f3n de peligrosidad de<strong> 5.3 en la escala CVSS<\/strong>. Es una vulnerabilidad SSRF que permite a un usuario autenticado solicitar direcciones internas o externas arbitrarias (como un archivo de v\u00eddeo alojado por el atacante que contiene una carga \u00fatil maliciosa) a trav\u00e9s del par\u00e1metro de ruta \/video\/:\/transcode\/universal.<\/li>\n<li>\n<a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-96656\" target=\"_blank\" rel=\"noopener noreferrer\">CVE-2026-96656<\/a>: el \u00faltimo fallo tiene una puntuaci\u00f3n de <strong>8.6 en la escala CVSS<\/strong>, por lo que es el m\u00e1s peligroso de los cuatro. Es un problema de control externo sobre el nombre o la ruta de un archivo, que permite escribir un objeto compartido ELF en una ubicaci\u00f3n elegida por el atacante dentro del directorio Codecs y ejecutarlo.<\/li>\n<\/ul>\n<p>Si todos estos fallos se combinan en este orden, permite la ejecuci\u00f3n remota de c\u00f3digo por parte de un atacante sin necesidad de autenticaci\u00f3n.<\/p>\n<p>Hay que mencionar que estos fallos fueron reportados por el investigador de seguridad <a href=\"https:\/\/zmain.info\/blog\/plex2shell\" target=\"_blank\" rel=\"noopener noreferrer\">Zach Main<\/a> a Plex el pasado 27 de julio de 2026 y fueron corregidos el 3 de agosto de 2026 con la <a href=\"https:\/\/forums.plex.tv\/t\/plex-media-server\/30447\/712\" target=\"_blank\" rel=\"noopener noreferrer\">versi\u00f3n 1.43.3.10861<\/a>.<\/p>\n<figure class=\"post-article__content-img\"><img decoding=\"async\" loading=\"lazy\" width=\"1280\" height=\"720\" src=\"https:\/\/www.redeszone.net\/app\/uploads-redeszone.net\/2026\/03\/Tiempo_amortizacion_NAS_Plex.jpg\" alt=\"Logotipo de Plex junto a un servidor NAS de color negro y dorado sobre un estante met\u00e1lico.\"><figcaption>Configuraci\u00f3n de un servidor NAS dom\u00e9stico para la gesti\u00f3n de contenidos multimedia con Plex. Foto: RedesZone.<\/figcaption><\/figure>\n<h2>Actualiza cuanto antes<\/h2>\n<p>El 16 de octubre publicaron la<strong> prueba de concepto<\/strong>, la cual puedes encontrar disponible en el repositorio de <a href=\"https:\/\/github.com\/code-zm\/plex2shell\/\" target=\"_blank\" rel=\"noopener noreferrer\">GitHub<\/a>. A partir de ah\u00ed, el 17 de octubre detectaron la explotaci\u00f3n efectiva de un honeypot. El hecho de que apareciera p\u00fablica la prueba de concepto es lo que ha permitido a los atacantes explotar estos fallos.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una cadena de vulnerabilidades en Plex Media Server permite a los atacantes instalar mineros de criptomonedas y software malicioso para crear una puerta trasera y acceder a los equipos. En total son cuatro fallos de seguridad y el investigador detr\u00e1s de este descubrimiento, que se hace llamar boredhackerblog, ha denominado a este problema como \u201cPlex2Shell\u201d, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/209188"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=209188"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/209188\/revisions"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=209188"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=209188"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=209188"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}